Politique de confidentialité

1. Introduction

FactureKit est un logiciel de facturation en ligne destiné aux indépendants, auto-entrepreneurs, TPE/PME, artisans, agences et experts-comptables. Pour vous permettre d'émettre vos factures et devis, de gérer vos clients et de suivre vos encaissements, nous traitons un certain nombre de données à caractère personnel.

La présente politique décrit quelles données nous collectons, pourquoi, sur quelle base légale, avec qui nous les partageons, combien de temps nous les conservons et comment exercer vos droits. Elle s'applique à l'application web et de bureau ainsi qu'à notre site. Elle est rédigée conformément au Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi française « Informatique et Libertés ».

2. Responsable du traitement

Le responsable du traitement des données collectées via FactureKit est l'éditeur du service. Il détermine les finalités et les moyens des traitements décrits ci-dessous. Pour toute question relative à vos données, vous pouvez le contacter à l'adresse privacy@facturekit.fr.

Nous n'avons pas désigné de délégué à la protection des données (DPO) dès lors que nous n'y sommes pas légalement tenus ; vos demandes sont traitées directement par l'éditeur.

3. Données que nous collectons

Nous collectons uniquement les données nécessaires au fonctionnement du service :

• Données de compte. Votre adresse e-mail et votre nom, fournis à l'inscription ou via la connexion Google. Le mot de passe n'est jamais stocké en clair : l'authentification est gérée par notre prestataire selon des standards de hachage reconnus.
• Données métier. Les contenus que vous créez et saisissez dans l'application : entreprises (raison sociale, SIRET/SIREN, mentions légales, RIB), clients, factures, devis, lignes de prestation, taux de TVA, montants, événements de calendrier et projets. Ces données peuvent contenir des informations relatives à vos propres clients, pour lesquelles vous agissez en qualité de responsable de traitement.
• Données techniques. Informations de connexion et journaux nécessaires à la sécurité et au bon fonctionnement du service : adresse IP, type d'appareil et de navigateur, dates et heures d'accès, jetons de session. Ces données sont strictement opérationnelles.

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD et ne procédons à aucun profilage publicitaire. Vos données métier ne sont jamais revendues ni exploitées à des fins commerciales.

4. Finalités & bases légales

Chaque traitement repose sur une base légale précise :

• Fournir le service (exécution du contrat). Création de compte, gestion de vos entreprises, émission et stockage de vos factures et devis, suivi des paiements, synchronisation entre le web et l'application de bureau, envoi des e-mails transactionnels (facture, devis, invitation).
• Sécurité et amélioration (intérêt légitime). Prévention de la fraude et des abus, journalisation technique, diagnostic des incidents, maintien de l'intégrité et de la disponibilité du service.
• Obligations légales. Conservation des pièces de facturation et réponse aux demandes des autorités compétentes, lorsque la loi l'impose.
• Consentement. Dépôt de cookies non strictement nécessaires, le cas échéant. Vous pouvez retirer votre consentement à tout moment.

5. Hébergement & sous-traitants

Vos données sont hébergées au sein de l'Union européenne. Pour fournir le service, nous faisons appel à un nombre limité de sous-traitants, tenus par contrat à des garanties de confidentialité et de sécurité conformes au RGPD :

• Supabase. Hébergement de la base de données et gestion de l'authentification. Vos données métier et vos informations de compte y sont stockées, sur une infrastructure localisée dans l'UE.
• Vercel. Hébergement et distribution de l'application web (front-end et points d'accès serveur), ainsi qu'une mesure d'audience agrégée. Vercel étant établi aux États-Unis, les transferts éventuels sont encadrés par les clauses contractuelles types (CCT) et le cadre EU-US Data Privacy Framework (DPF).
• Stripe. Encaissement des abonnements FactureKit (offres Pro et Pro Max). Stripe traite les données de paiement liées à votre abonnement (identité de facturation, moyen de paiement) ; FactureKit ne stocke pas votre numéro de carte. Stripe étant établi aux États-Unis, les transferts sont encadrés par les CCT et le DPF.
• Mailgun. Acheminement des e-mails transactionnels (envoi de factures et de devis, invitations à rejoindre une entreprise). Seules les données nécessaires à l'envoi du message sont transmises. Les transferts hors UE éventuels sont encadrés par les CCT.
• SuperPDP (Plateforme Agréée). Lorsque vous activez l'émission électronique de vos factures, celles-ci sont transmises à l'administration via SuperPDP, une Plateforme Agréée par l'État. SuperPDP réalise également la vérification d'identité (KYC/KYB) de vous-même et de votre entreprise lors de votre première connexion. À ce titre, les données d'identité et les données de facturation nécessaires transitent vers SuperPDP, qui agit comme responsable de traitement distinct pour ces opérations réglementaires. FactureKit ne stocke pas les pièces justificatives d'identité (KYC/KYB) collectées par SuperPDP.

Nous ne transférons pas vos données en dehors de l'UE pour notre propre compte. Lorsqu'un sous-traitant procède à un transfert hors UE (Stripe, Mailgun, Vercel), celui-ci est encadré par les garanties appropriées prévues par le RGPD : clauses contractuelles types (CCT) et, le cas échéant,EU-US Data Privacy Framework.

Les données que vous saisissez concernant vos propres clients sont traitées par FactureKit en qualité de sous-traitant, pour votre compte (vous en êtes responsable de traitement). Un accord de sous-traitance (DPA) est mis à votre disposition : {{DPA_À_FOURNIR}}.

6. Durée de conservation

Nous ne conservons vos données que le temps nécessaire aux finalités poursuivies :

• Données de compte et données métier : pendant toute la durée d'utilisation du service. À la suppression de votre compte, elles sont effacées sous 30 jours, hors obligations légales.
• Pièces de facturation : conservées au titre des obligations comptables et fiscales françaises (jusqu'à 10 ans pour les documents comptables), même après la clôture du compte.
• Journaux techniques : conservés pour une durée limitée (généralement quelques mois) à des fins de sécurité, puis supprimés ou anonymisés.

7. Cookies

FactureKit utilise principalement des cookies strictement nécessaires au fonctionnement du service, en particulier les cookies de session qui maintiennent votre connexion de façon sécurisée entre le serveur et votre navigateur. Le détail des cookies déposés, leur finalité et leur durée de vie sont décrits dans notre politique de cookies.

8. Vos droits

Conformément au RGPD, vous disposez à tout moment des droits suivants sur vos données à caractère personnel :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification : corriger des données inexactes ou incomplètes ; la plupart sont directement modifiables depuis votre compte.
• Droit à l'effacement : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
• Droit à la portabilité : récupérer vos données dans un format structuré et lisible par machine, ou les faire transmettre à un autre prestataire.
• Droit d'opposition et de limitation : vous opposer à un traitement fondé sur notre intérêt légitime ou en demander la limitation.

Pour exercer ces droits, écrivez-nous à privacy@facturekit.fr en précisant votre demande. Nous y répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Sécurité

La protection de vos données est intégrée à l'architecture du service. Nous mettons en œuvre des mesures techniques et organisationnelles adaptées :

• Chiffrement en transit : tous les échanges entre votre appareil et nos serveurs sont chiffrés via HTTPS/TLS.
• Isolation par utilisateur (RLS) : des règles de sécurité au niveau des lignes de la base de données garantissent que chaque utilisateur n'accède qu'à ses propres données et à celles des entreprises auxquelles il est explicitement rattaché.
• Gestion fine des accès : au sein d'une entreprise, les rôles administrateur et comptable encadrent qui peut consulter, modifier ou gérer les données.
• Authentification sécurisée : les sessions reposent sur des jetons à durée limitée et les mots de passe sont stockés sous forme hachée.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL dans les 72 heures et vous informerons lorsque la réglementation l'exige.

10. Contact

Pour toute question relative à cette politique de confidentialité ou au traitement de vos données, contactez-nous à privacy@facturekit.fr. Nous nous engageons à vous répondre dans les meilleurs délais.